공급업체, SaaS 제공업체 또는 아웃소싱 파트너를 온보딩하기 전에 요청해야 할 서류 – 회사 정보, 재무 건전성, 정보 보안, 데이터 보호, 컴플라이언스, 계약 조건.
제3자(공급업체) 실사는 고객사가 공급업체에 의존하기 전에 수행하는 검토입니다. 예를 들어 은행이 결제대행사를 온보딩하거나, 기업이 클라우드 제공업체를 선정하거나, 제조업체가 핵심 부품 공급업체와 계약하는 경우입니다. 목적은 공급업체가 밝힌 그대로의 실체인지, 계약을 이행할 재무 능력이 있는지, 법령과 고객사 자체의 규제 의무를 준수하는지, 그리고 데이터나 핵심 프로세스를 맡길 수 있을 만큼 안전한지를 확인하는 것입니다.
실사의 깊이는 리스크에 맞춰야 합니다. 데이터 접근 권한이 없는 저위험 공급업체라면 신원 확인, 제재 대상 스크리닝, 보험 확인만으로 충분할 수 있습니다. 개인정보를 처리하거나 핵심 프로세스를 운영하는 중요 공급업체에는 아래 전체 목록, 보안 평가, 감사권이 필요합니다. 많은 규제 산업, 특히 금융업은 지속적인 모니터링도 요구하므로 인증서와 보고서를 최소 연 1회 갱신할 것을 예상해야 합니다. (참고: M&A에서 '셀러 실사(vendor due diligence)'는 매도인이 자기 회사에 대해 의뢰하는 보고서를 의미합니다. 이에 대해서는 M&A 체크리스트를 참조하십시오.)
공급업체 입장에서 이러한 검토를 가장 빠르게 통과하는 방법은 즉시 제공 가능한 신뢰 패키지를 준비하는 것입니다. 최신 인증서와 감사 보고서, 작성 완료된 표준 질의서, 정책 문서, 데이터 처리 계약 템플릿을 요청이 올 때마다 이메일에 첨부하지 말고, NDA가 적용되고 접근이 통제되는 하나의 링크로 공유하십시오.
데이터룸 인덱스처럼 번호가 매겨져 있습니다. 각 섹션을 폴더로 사용하고 파일명에 번호를 유지하세요.
CSV는 Excel, Numbers 또는 Google Sheets에서 열 수 있습니다. 실무적인 출발점으로 활용하시고, 자문사와 함께 거래와 관할권에 맞게 조정하세요.
고객사 측의 구매, 정보보안, 법무, 개인정보 보호 팀이며, 규제 대상 기업에서는 컴플라이언스 및 제3자 리스크 관리 부서도 참여합니다. 중요한 아웃소싱의 경우 감독기관이 요청 시 관련 자료를 제출할 수 있기를 기대할 수 있습니다.
저위험 공급업체는 며칠, 중요 공급업체는 몇 주가 걸립니다. 고위험 제3자는 계약 갱신 시 및 최소 연 1회 반복합니다.
기업이 계약 체결 전과 거래 기간 동안 공급업체나 서비스 제공업체에 대해 수행하는 점검으로, 신원과 소유 구조, 재무 건전성, 보안, 개인정보 보호, 컴플라이언스, 계약 조건을 다룹니다.
법인등기부등본과 소유 구조, 재무제표, 보험 증명서, 보안 인증 또는 SOC 2 보고서, 작성 완료된 보안 질의서, 데이터 처리 계약과 수탁자 목록, 정책 문서, 그리고 SLA입니다.
계약 갱신 시와 리스크 기반 일정에 따라 반복합니다. 중요하거나 고위험인 공급업체는 보통 연 1회, 저위험 공급업체는 그보다 덜 자주 실시하며, 서비스나 소유 구조가 바뀔 때마다 추가로 실시합니다.
M&A에서 셀러 실사(vendor due diligence)는 매도인이 자기 사업에 대해 의뢰해 매수인에게 제공하는 보고서입니다. 구매 및 제3자 리스크 관리에서는 고객사가 공급업체를 점검하는 것을 의미합니다.
NDA 동의, 워터마크, 접근 만료 기능이 있는 데이터룸이나 추적 링크를 통해 공유하면 SOC 2 보고서와 모의해킹 결과 요약이 무분별하게 전달되지 않습니다.